“Delphi梦魇” 新病毒戏耍软件工程师
                                          
www.hxhack.com 阅读:38 时间:2009-8-25 16:54:24 来源:华夏黑盟
                                  ------------------------------------------------------------------

                                                                                            
                                     近日国内截获了一个针对计算机程序员、尤其是Delphi使用者的病毒“Delphi梦魇”（Win32.Induc.b.820224 ），简单描述该毒行为，就是：它专门感染Delphi程序员的电脑，一旦成功，程序员今后写出的任何程序，都将带有该毒！
传播特性
1.只会危害安装delphi的电脑，该病毒的潜伏性很强，感染后，不做任何破坏，只是在感染的电脑上编译EXE或DLL程序文件时，将病毒代码植入。
2.在没有安装delphi的电脑上运行植入病毒代码的EXE或DLL程序时，也不会产生任何危害，如果没有检查到本机安装有delphi，病毒也不会继续繁殖和传播。
产生过程
当随着被感染文件进入电脑系统，“Delphi梦魇”就开始检验系统中是否有Delphi环境。它通过循环检测注册表键值的方法查找dephi的安装目录，如果找到dephi这个冤大头，就将恶意代码前排插入SysConst.pas文件，这个文件编译的时候，会生成SysConst.dcu，而这个文件会被添加到每个新的dephi工程中。
于是，程序员们所编写的程序就全部带毒了，一个个隐秘的“病毒兵工厂”就这样诞生，更可怕的是，通过对受感染文件的分析，该毒在全球网络中已经传播了多月，目前已知受感染最早的系统，在2008年的年末就已中招。
貌似无威胁，实则危机四伏
虽说病毒原作者看上去没啥坏心，但在国内广大唯利是图的黑客（病毒作者）眼中，这无疑是一份大大的馅饼。自三月份刑法新条例出台、政府部门对病毒木马编写以及黑客行为加大打击后，不法黑客的生意越来越难做，突然出现这种有助降低犯罪技术门槛的安全事件，他们绝不会愿意放过。目前，“Delphi梦魇”（Win32.Induc.b.820224）的源代码已经在网络中完全公布流传，无法排除国内病毒作者对其进行改造、进化的可能。如果他们对该毒加入下载木马、盗号等恶意行为指令，很难说会DIY出怎样的猛毒。
安全方案
在此提醒习惯手动解决问题的Delphi程序员，这个病毒具有二次感染能力，也就是说原来你编译出来的所有Delphi程序都可以再次感染你机器上的Delphi库文件，如果使用自己编写的查杀工具，请一定要检查你所写出的工具是否也含毒，否则将陷入一个死循环。
要彻底清除该病毒，需做到以下几点：
1、使用杀软扫描所有的Delphi编写的可执行文件并清除病毒。（或直接删除所有Delphi编写的可执行文件，包括从网上下载的）
2、将文件 %DelphiInstallPath%\Lib\SysConst.dcu 删掉，然后执行步骤4 或 步骤5和6。
3、将文件 %DelphiInstallPath%\Lib\SysConst.bak 改名为 SysConst.dcu，结束。
4、调用 DCC32.exe 编译出新的 SysConst.dcu ，编译命令如下： %DelphiInstallPath%\bin\DCC32.exe "%DelphiInstallPath%\\Source\Rtl\Sys\SysConst.pas"
5、将新编译的SysConst.dcu（在%DelphiInstallPath%\\Source\Rtl\Sys\目录下）文件复制到 %DelphiInstallPath%\Lib\ 目录，结束。